暗号資産取引所(仮想通貨取引所)の「Zaif(ザイフ)」が金融庁から度々業務改善命令が出されていたのはご存知の通り。

脆弱なサーバー、度重なる不正出金被害など運営に対する「リスクが高い」という見方はハッキング事件以前から強く、『やっぱり起こってしまったか』という諦めに近い感想がSNSなどで多く呟かれました。
今回は仮想通貨取引所Zaif(現在はFISCOに統合)の64億円ハッキング流出事件を振り返りたいと思います。

事件概要

Zaifは日本で最初期にできた仮想通貨取引所ですが、元々はetwingsという仮想通貨取引所を、テックビューロ株式会社が買収してZaifが始まったことはあまり知られていません。

Zaifは既存の金融業界とは縁もゆかりもない、ITテクノロジー関連の人材によって運営がされていたため、ある意味「仮想通貨の自由を象徴する仮想通貨取引所」ともいうことができました。

取引手数料無料、取引所独自の「Zaifトークン」のリリースなど目玉となるサービスに加え、国内では最多となる18の仮想通貨銘柄、国内最大量のモナコインの取引を誇るなど、常に仮想通貨取引所のトップ集団を走ってきた印象があります。

しかし、その一方で運営の不透明さ、顧客に対する真摯さのかける対応、システムのトラブルの多発が改善されず、金融庁からも目をつけられていました。仮想通貨の自由の象徴でもあったZaifは事件後、大手金融グループであるFiscoに買収され、テックビューロ社は縮小へ向かうことになります。

zaifハッキング事件までのインシデントを時系列で追う

サーバダウンの多発

ウェブサイトまたはウェブサービスにアクセスが集中すると、サーバーがリクエストに対応しきれずダウンしてしまう場合があります。

サーバダウン時は、エラー内容によって表示は異なりますが、zaifに限定して言えば「502 Bad Gateway」と表示されることが多く、Twitter上の仮想通貨界隈では「502 Bad Gateway」=「ダメ取引所」=「ザイフ」…と揶揄されるほどでした。

金融機関という括りでみると、銀行のサーバは冗長化が図られ、大規模かつ長時間アクセスエラーが出るようなインシデントはほとんど見かけることはありません(みずほ銀行のように、銀行合併後のシステム統合で「サグラダ・ファミリア」ばりの”終わらない”増改築を続けているところもありますがｗ)。

しかしながら、Zaifでは以前からサーバーダウンが頻回し「502 Bad Gateway」の表示でサイトにアクセスできないという状況が発生していました。

当然のことながら、利用者からはクレームの嵐になるわけですが、Zaif(というよりも、テックビューロ社の代表取締役の朝山氏)は基本的に強気で「気に入らないなら使わなければいい」という姿勢を貫きます。

2018年1月6日〜10日 不正出金事件

2018年1月6日〜7日未明にかけてAPIキーの不正利用によって、顧客の資産が不正に操作される事件が起こりました。Zaifの不正出金事件です。

これはサーバー上に残っていた顧客のAPIキーが盗まれ、顧客の口座にある資産が、第三者によって不正に出金され、また取引を行われる・・・という手口でした。この事件による被害は、下記の通りです。

Zaifは当初この事件に関して顧客に対する対応はおろか、警察の捜査に対してもまともに対応しないという姿勢でした。行われたのは一時的な入出金の停止対応措置のみです。

最終的には被害にあった利用者には返金がされたようですが、Zaifへの不信感は大きく高まりました。システムの脆弱さに加えて運営の対応に関して評価を下げる事件でした。

2018年2月18日 ビットコインの取引価格がエラーで0円になる

Zaifが販売するビットコインの取引価格がシステムエラーで0円になりました。エラーになっている最中に21億円分のビットコインを購入したユーザーがおり、市場価格が一時約2200兆円の暴騰を起こしました。

このエラー自体は2時間後に修正され、市場価格も元に戻ります。21億円を購入したユーザーの口座は凍結されますが、このユーザーは不具合確認のために注文を入れ、更に運営に連絡まで入れたという好意の人物でした。

Zaifからはこの件に関して事後に説明もなく、凍結したユーザーに対する謝罪も行われなかったということです。Zaifの運営姿勢に対する批判は更に高まりました。

2018年2月23日 ビットコイン先物における強制ロスカット

Zaifのサーバーの脆弱性は以前から指摘されていましたが、ついにサーバー不具合によってビットコインの暴落を招く事態が発生してしまいました。強制ロスカット事件です。アクセス集中によってサーバーがエラーを起こし、強制ロスカットが発生。このロスカットによってビットコインの価格は110万円から60万円まで暴落しました。

Zaifのシステムの脆弱性によって市場に大きな損害を与えた事件だったにも関わらず、この件で顧客が被った損害は一切保証しないとアナウンスされました。

2018年3月8日 金融庁から業務改善命令

2018年に発生した

上記3件の暗号資産取引所「Zaif」の不祥事を受け、金融庁はテックビューロ社に業務改善命令を出します。
内容としては原因の解明、再発防止策の提示、顧客への説明責任を果たすことなどが盛り込まれました。これ以降TB社へは金融庁から3回の業務改善命令が出されることになります。

2018年3月20日 減資と本店移転

テックビューロ社の減資と本店移転が行われていたことが3月20日に報じられました。

資本金は13億8,308万2,000円から1億1,100円へと大幅な減資、本店は大阪市西区西本町から大阪市西区靱本町へ移転。
原資の理由は業績悪化による節税対策であるとの推測がされました。資本金が5億円未満になることで会計監査人設置の義務がなくなり、結果として監査人に報酬の支払いが発生しなくなります。

これらの変更に関してテックビューロ社およびZaifから詳細な説明は全くなく、依然として不信感を払拭することはできないままとなりました。

2018年5月14日 ビットコインキャッシュ重複入金

ビットコインキャッシュはビットコインからハードフォークした仮想通貨のため、アドレスが非常に似ており、そのため誤送金をするユーザーが後を絶ちませんでした。
zaifでは、誤送金対策としてビットコインキャッシュのアドレス形式（アドレスの頭文字）を変更することを発表しました。

しかしながら、Zaifでは古いアドレスと新しいアドレスが混合するシステムエラーが発生してしまいます。その結果、ビットコインキャッシュのアドレスに資産が重複入金されるという事件になりました。
この事件後の6月22日に、テックビューロ社には2度目の業務改善命令が出されました。

2018年9月14日 67億円ハッキング流出事件

そしていよいよ9月14日、Zaifの67億円ハッキング流出事件が発生してしまいます。Zaifのホットウォレットに保管されていた顧客の資産45億円分とZaifの資産22億円分の仮想通貨が流出しました。

以下流出した仮想通貨の内訳です。

2018年1月のコインチェック流出事件でも、取引所がオンラインに接続しているホットウォレットに資産を保管していたことによって、外部からハッキングされました。 2017年のCoincheck事件で「ホットウォレットに保管している取引所は危険」ということが、やっと認識されはじめた矢先にまた同じような事件がZaifで起こってしまったことは大きな落胆を呼びました。

「やっぱりZaifはやらかしたか…」という空気に包まれたのです。

この67億円ハッキング流出事件を経て、テックビューロ社の朝山貴生社長ら経営陣は辞任します。

大手金融グループであるFiscoはZaifに対して50億円の支援を行う契約を締結し、Zaifを買収。現在もZaifという名称は残っていますが、運営は株式会社フィスコ仮想通貨取引所となっています。
テックビューロ社は解散の方向のようですが、親会社であるテックビューロホールディングスは現在も活動を続けています。

このハッキングについて、盗まれた仮想通貨がどこに消えたかは特定がされています。Japan Digital Design株式会社、セキュリティ専門家の杉浦隆幸氏、大学生のCTFチームTokyoWesternsで構成されたホワイトハッカーのグループが、犯行に使われた欧州のIPアドレスを特定し、仮想通貨の動きを監視しています。とはいえ、まだ犯人自体にはたどり着いていないようです。

Zaifの取引所としての対応

Fiscoは10月10日にZaifの買収（事業譲渡契約）を締結し、流出被害にあったユーザーに対する補償を発表しました。ビットコインとビットコインキャッシュに関しては基本全額補償、モナコインに関しては預託数量の40%の補償ということです。

返金タイミングに関してはユーザーのウォレットに流出前の残高に応じた額が順次返金され流ということですがタイミングは明らかにされていません。株式会社フィスコ仮想通貨取引所による運営が開始された後というにとどまっています。ただし、FiscoへのZaifの事業譲渡に同意手続きを行なっていないユーザーには返金がされません。承諾期限は2018年12月31日でした。

SNS上でのユーザーの反応

事件前後の仮想通貨価格への影響

Zaifの67億円ハッキング流出事件においてはビットコイン、ビットコインキャッシュ、モナコインとう3つの仮想通貨が被害にあいました。それぞれの事件前後の値動きに影響は見られるのでしょうか。

2018年9月14日時点でのビットコイン相場は、72万円台/1BTCでした。9月18日に70万円台を割るものの、すぐに復調したためそれほど大きな影響はなかったと見ていいでしょう。

ビットコインキャッシュに関しては2018年9月14日時点で52,132円/1BCH。翌日50,325円/1BCHまで下がり、9月18日には46,763円/1BCHまで下落しますが、その後復調します。こちらもそれほど大きな影響はありませんでした。

モナコインは2018年9月14日時点で114円/1MONA。事件以降9月18日に107円/1MONAまで下がり、9月22日に175円/1MONAと突如高騰します。これも流出事件との関連性はあまり見られません。

Zaifのいま

Zaifは現在Fiscoにより買収され、事業譲渡に承諾した既存ユーザーに関してはサービスを再開しています。しかし、新規の口座開設は現在停止中です。

Zaifのwebサイトにある会社概要を見ると、住所、電話番号、役員等、基本的にフィスコ株式会社取引所の会社概要と同じ内容です。

扱っている仮想通貨銘柄は違いますが、今後完全に統合されるのか、それとも立ち位置の異なる2つの取引所として運営していくのは明らかになっていません。

Zaif67億円ハッキング事件の総括

仮想通貨取引所Zaifのハッキング事件は、仮想通貨取引所が消費者保護をいままで以上に考慮し、システムに組み込まなくてはならない…という、「あり方」の転換点になったことは間違いありません。

zaifは、そんな中でも芸能人(剛力彩芽)を大々的に起用したTVCMや各種広告を派手にうち、コイン積立など新しい取り組みも積極的に行ってきましたが、取引所の根幹であるシステムや管理体制のずさんさが仇になり、事件後大手金融グループに買収されるという結果に。

新しいものだったがゆえに法的な規制がゆるく、また「とりあえず面白いものはやっちゃえ！」というベンチャー気質が色濃く反映された仮想通貨取引所の草創期は終わりを迎えたといえます。 今後は、消費者保護に重点が置かれた運用体制を構築できる、SBI証券やマネックス証券などの大手金融グループが主導する時代に移り変わっていくことになりそうです。

[参考] 過去のハッキング探偵記事一覧